rails - "CẢNH BÁO: Không thể xác minh tính xác thực của mã thông báo CSRF" cho các yêu cầu json devise

Làm cách nào để truy xuất mã thông báo CSRF để chuyển với một yêu cầu JSON?

Tôi biết rằng vì lý do bảo mật, Rails đang kiểm tra mã thông báo CSRF trên tất cả các loại yêu cầu (bao gồm cả JSON / XML).

Tôi có thể đặt bộ điều khiển của mình skip_before_filter :verify_authenticity_token, nhưng tôi sẽ mất bảo vệ CRSF (không khuyến khích :-)).

Câu trả lời tương tự (vẫn không được chấp nhận) này gợi ý cho

Lấy mã thông báo bằng <%= form_authenticity_token %>

Câu hỏi là làm thế nào? Tôi có cần thực hiện cuộc gọi đầu tiên đến bất kỳ trang nào của mình để truy xuất mã thông báo và sau đó thực hiện xác thực thực của tôi với Devise không? Hay đó là thông tin một lần mà tôi có thể nhận được từ máy chủ của mình và sau đó sử dụng nhất quán (cho đến khi tôi tự thay đổi thông tin trên chính máy chủ)?

CHỈNH SỬA :

Trong Rails 4, bây giờ tôi sử dụng những gì @genkilabs đề xuất trong nhận xét bên dưới:

protect_from_forgery with: :null_session, if: Proc.new { |c| c.request.format == 'application/json' }

Điều này, thay vì tắt hoàn toàn tính năng bảo mật được tích hợp sẵn, hãy loại bỏ bất kỳ phiên nào có thể tồn tại khi có thứ gì đó truy cập vào máy chủ mà không có mã thông báo CSRF.

skip_before_filter :verify_authenticity_token, :if => Proc.new { |c| c.request.format == 'application/json' }

Điều này sẽ tắt kiểm tra CSRF cho các bài đăng / bài viết json đã được đánh dấu đúng cách như vậy.

Ví dụ: trong iOS, cài đặt nội dung sau cho NSURLRequest của bạn, trong đó "tham số" là tham số của bạn:

[request setHTTPMethod:@"POST"];

[request setValue:@"application/json" 
       forHTTPHeaderField:@"content-type"];

[request setValue:@"application/json" 
       forHTTPHeaderField:@"accept"];

[request setHTTPBody:[NSData dataWithBytes:[parameters UTF8String] 
                                            length:[parameters length]]];

Bạn có thể gửi mã thông báo CSRF, sau khi đăng nhập thành công, bằng cách sử dụng tiêu đề tùy chỉnh.

Ví dụ: đặt cái này vào các phiên của bạn # create:

response.headers['X-CSRF-Token'] = form_authenticity_token

Tiêu đề phản hồi đăng nhập mẫu cung cấp mã thông báo CSRF:

HTTP/1.1 200 OK
Cache-Control: max-age=0, private, must-revalidate
Connection: Keep-Alive
Content-Length: 35
Content-Type: application/json; charset=utf-8
Date: Mon, 22 Oct 2012 11:39:04 GMT
Etag: "9d719d3b9aabd413c3603e04e8a3933d"
Server: WEBrick/1.3.1 (Ruby/1.9.3/2012-10-12)
Set-Cookie: [cut for readability] 
X-Csrf-Token: PbtMPfrszxH6QfRcWJCCyRo7BlxJUPU7HqC2uz2tKGw=
X-Request-Id: 178746992d7aca928c876818fcdd4c96
X-Runtime: 0.169792
X-Ua-Compatible: IE=Edge

Mã thông báo này có giá trị cho đến khi bạn đăng nhập lại hoặc (đăng xuất nếu bạn hỗ trợ mã này thông qua API của mình). Khách hàng của bạn có thể trích xuất và lưu trữ mã thông báo từ các tiêu đề phản hồi đăng nhập. Sau đó, mỗi yêu cầu POST / PUT / DELETE phải đặt tiêu đề X-CSRF-Token với giá trị nhận được tại thời điểm đăng nhập.

Tiêu đề POST mẫu với mã thông báo CSRF:

POST /api/report HTTP/1.1
Accept: application/json
Accept-Encoding: gzip, deflate, compress
Content-Type: application/json; charset=utf-8
Cookie: [cut for readability]
Host: localhost:3000
User-Agent: HTTPie/0.3.0
X-CSRF-Token: PbtMPfrszxH6QfRcWJCCyRo7BlxJUPU7HqC2uz2tKGw=

Tài liệu: form_authenticity_token

Quả thực là cách đơn giản nhất. Đừng bận tâm với việc thay đổi các tiêu đề.

Đảm bảo rằng bạn có:

<%= csrf_meta_tag %>

trong của bạn layouts/application.html.erb

Chỉ cần thực hiện một trường nhập ẩn như sau:

<input name="authenticity_token" 
       type="hidden" 
       value="<%= form_authenticity_token %>"/>

Hoặc nếu bạn muốn có một bài đăng ajax jquery:

$.ajax({     
    type: 'POST',
    url: "<%= someregistration_path %>",
    data: { "firstname": "text_data_1", "last_name": "text_data2", "authenticity_token": "<%= form_authenticity_token %>" },                                                                                  
    error: function( xhr ){ 
      alert("ERROR ON SUBMIT");
    },
    success: function( data ){ 
      //data response can contain what we want here...
      console.log("SUCCESS, data="+data);
    }
});

Về cơ bản khi bạn đăng dữ liệu json của mình, chỉ cần thêm trường authenticity_token hợp lệ vào postdữ liệu và cảnh báo sẽ biến mất ...

Tôi đã giải quyết lỗi đó theo cách này:

class ApplicationController < ActionController::Base
  protect_from_forgery
  skip_before_action :verify_authenticity_token, if: :json_request?

  protected

  def json_request?
    request.format.json?
  end
end

Nguồn: http://api.rubyonrails.org/classes/ActionController/RequestForgeryProtection.html

Điều đáng lo ngại là trong Rails 3.2.3 bây giờ chúng ta nhận được cảnh báo CSRF trong production.log nhưng bài đăng không bị lỗi! Tôi muốn nó không thành công vì nó bảo vệ tôi khỏi các cuộc tấn công. Và bạn có thể thêm mã thông báo csrf bằng jquery trước bộ lọc btw:

http://jasoncodes.com/posts/rails-csrf-vulnerability

Tôi đã sử dụng bên dưới. Sử dụng bao gồm? vì vậy nếu loại nội dung là application / json; charset = utf-8 thì nó vẫn hoạt động.

protect_from_forgery with: :null_session, if: Proc.new { |c| c.request.format.include? 'application/json' }

Câu trả lời này là tốt hơn.

Bạn có thể duy trì xác thực CSRF-TOKEN mà không cần nỗ lực thêm (mã thông báo được nối thêm) trước khi gửi bất kỳ XMLHttpRequest nào. Không có JQuery, không có gì chỉ sao chép / dán và làm mới.

Chỉ cần thêm mã này.

(function() {
    var send = XMLHttpRequest.prototype.send,
        token = $('meta[name=csrf-token]').attr('content');
    XMLHttpRequest.prototype.send = function(data) {
        this.setRequestHeader('X-CSRF-Token', token);
        return send.apply(this, arguments);
    };
}());

Tôi gặp sự cố tương tự với phiên bản sau của Rails:
gem 'rails',: git => 'git: //github.com/rails/rails.git',: branch => '3-2-ổn định'

Tôi đã cập nhật lên 3.2.2 và mọi thứ hoạt động tốt với tôi bây giờ. :)
đá quý 'rails', '3.2.2'

Tôi đã gặp phải vấn đề tương tự tối nay. Lý do điều đó xảy ra là vì khi bạn đăng nhập csrf-token cuối cùng không còn hợp lệ. Những gì tôi đã làm là: $("meta[name=csrf-token]").attr('content', '<%= form_authenticity_token %>');trong ứng dụng / views / devise / session / create.js.rb của bạn.

Bây giờ nó có một mã thông báo csrf hợp lệ :) Tôi hy vọng nó sẽ giúp

Cũng cho chế độ phát triển / thử nghiệm.

protect_from_forgery with: :exception unless %w(development test).include? Rails.env

Cảnh báo này hiển thị vì bạn đang sử dụng :null_session, trong Rails 4.1, nó hoạt động theo mặc định nếu không có with:tùy chọn nào được chỉ định.

protect_from_forgery